VulnCheck : après sept mois, le registre des vulnérabilités d’Anthropic fait état de 217 correctifs sur 37 966 signalements

La société de sécurité VulnCheck, qui commercialise des renseignements sur les vulnérabilités, a publié sa mise à jour de novembre sur le Project Glasswing d’Anthropic. Il s’agit des chiffres et de l’analyse de VulnCheck, pas de ceux d’Anthropic.

Chiffres de VulnCheck : l’entreprise a recensé 442 CVE attribués à Anthropic depuis avril, soit environ 0,5 % des 93 450 CVE publiés cette année, et indique que seuls deux ont été exploités dans la nature. Sur les 37 966 signalements figurant dans le registre de divulgation d’Anthropic (à la date de sa mise à jour du 2 novembre), VulnCheck indique que 7 349 (19,4 %) sont publics, que 217 sont marqués comme corrigés, que 1 654 sont marqués comme doublons et que 419 ont été retirés. Depuis sa mise à jour du 8 septembre, le registre aurait ajouté environ 11 800 signalements et 15 correctifs.

Taux de vrais positifs : le registre affiche 94,2 %, contre 90,8 % au lancement. VulnCheck s’interroge sur la façon dont les doublons et les retraits sont comptabilisés.

curl : VulnCheck rapporte que Daniel Stenberg, responsable de curl, a reçu 45 signalements de l’OSS Scanner d’Anthropic, dont un classé de gravité moyenne et les autres de faible gravité. Sur les 34 publiés à ce jour, VulnCheck indique que 19 ont été jugés comme ne constituant pas des vulnérabilités, que 6 ont été confirmés comme étant de faible gravité et que 9 sont en attente d’évaluation.

VulnCheck estime que l’IA est un outil précieux pour détecter les vulnérabilités, mais que les éléments disponibles ne corroborent pas les affirmations faites lors du lancement. La réponse d’Anthropic ne figure pas dans la publication.